Kontrola dostępu oznacza, że możesz wykazać, kto ma dostęp do jakich systemów, pomieszczeń lub danych, i że dostęp ten jest odwołany, gdy ktoś go już nie potrzebuje. W przypadku firmy instalacyjnej wykracza to poza politykę haseł w biurze: obejmuje także klucze do lokali klientów, karty dostępu do pomieszczeń technicznych i dostęp zdalny do systemów zarządzania budynkami, które utrzymują Twoi monterzy.
Powód, dla którego ten temat pojawia się w listach pytań dotyczących bezpieczeństwa, jest prosty: montażysta, który może zalogować się bez hasła do regulacji ogrzewania, lub były pracownik, który nadal może otworzyć kluczem serwerownię, to dokładnie tego typu ryzyko, na które pracodawca musi zwracać uwagę. Kto odpowiada na to pytanie wzruszeniem ramion, szybciej traci umowę niż ten, kto potrafi udzielić krótkiej, uczciwej odpowiedzi.
Dwa rodzaje dostępu, jeden rejestr
W firmie instalacyjnej przenikają się dwa światy. Z jednej strony istnieje dostęp do własnych systemów: administracja, oprogramowanie planowania, skrzynka pocztowa. Z drugiej strony istnieje fizyczny i cyfrowy dostęp u klienta: klucze, kody alarmów, połączenia VPN do systemu zarządzania budynkiem, konta logowania do regulacji klimatu zarządzanej zdalnie.
Oba podlegają temu samemu pytaniu: kto ma do nich dostęp i dlaczego. Żywy rejestr, w którym dla każdego systemu lub zestawu kluczy widać, kto ma dostęp, od kiedy i kto to zatwierdził, dla większości firm instalacyjnych wystarczy, aby odpowiedzieć na to pytanie. Nie musi to być skomplikowany system; przegląd, który jest dokładny i który możesz pokazać, liczy się bardziej niż rozbudowana polityka, którą nikt nie przestrzega.
Klucze i karty dostępu: zapomniana część kontroli dostępu
Wiele firm instalacyjnych myśli o kontroli dostępu od razu w kategoriach danych logowania i zapomina o stronie fizycznej. Zestawy kluczy do lokali klientów, karty dostępu do pomieszczeń technicznych i kody systemów alarmowych to form dostępu równy hasłu i zasługują na taką samą dyscyplinę: dokumentowanie, kto ma jaki klucz, kiedy został wydany, i ustalony moment, w którym zostanie zwrócony lub odwołany.
To często staje się widoczne dopiero wtedy, gdy coś pójdzie nie tak: montażysta, który odchodzi z pracy, ale w samochodzie ma jeszcze zestawy kluczy trzech klientów, lub podwykonawca, który po zakończeniu projektu nadal może zalogować się na konto administratora. Klient, który zadaje Ci to pytanie za pośrednictwem listy pytań dotyczących bezpieczeństwa, chce przede wszystkim wiedzieć, czy strukturalnie zapobiegasz tego typu sytuacjom, a nie czy kiedykolwiek coś poszło nie tak.
Dostęp zdalny do systemów u klienta
Firmy instalacyjne, które zdalnie obserwują lub interweniują w systemach u klienta, na przykład w celu diagnostyki awarii instalacji klimatyzacyjnej lub systemu zarządzania energią, często potrzebują własnej ścieżki dostępu: sieci VPN, połączenia pulpitu zdalnego lub platformy właściwej dla dostawcy. Ta ścieżka dostępu to dokładnie ten rodzaj połączenia, którego szuka pracodawca z obowiązkiem dołożenia należytej staranności, ponieważ słabe miejsce u Ciebie może bezpośrednio przełożyć się na ryzyko u nich.
Pytania, które się tu pojawiają, dotyczą uwierzytelniania wielopoziomowego na tym dostępie zdalnym, kto zarządza kontami i co się dzieje, jeśli laptop z tym dostępem zostanie skradziony. Nie jest konieczne, aby mieć wyczerpujące techniczne odpowiedzi na każde pytanie; konieczne jest jednak wiedzieć, kto w Twojej organizacji przyznaje i odwołuje tego rodzaju dostęp, i aby to gdzieś udokumentować.
Gdzie to pasuje do większego obrazu
Kontrola dostępu jest jednym ze środków, które podlegają obowiązkowi opieki, a ten obowiązek najczęściej nie dotyczy przedsiębiorstw instalacyjnych, ponieważ sami podlegają przepisom, ale dlatego że zamawiający, który podlega przepisom, żąda tego od nich. Ci, którzy nie wiedzą jeszcze, czy dotyczy to ich sytuacji, mogą to zobaczyć w kilku pytaniach. Dla tych, którzy już otrzymali pytanie i chcą wiedzieć, jak kontrola dostępu odnosi się do pozostałych dziewięciu środków, dostępny jest kompletny przegląd opracowany dla każdego tematu.
Nie należy do dostawcy platformy takiej jak secria.eu określanie, co jest wystarczające w konkretnym przypadku; pozostaje to oceną, którą należy dokonać we własnym zakresie lub, w razie wątpliwości, w porozumieniu z prawnikiem lub właściwym organem nadzoru. To, co można zrobić: prowadzić uczciwy i aktualny przegląd tego, kto ma dostęp do czego, aby kwestionariusz bezpieczeństwa nie był zaskoczeniem, ale formularzem, który można wypełnić w ciągu kilku minut. Więcej informacji na temat tego, jak w praktyce budowany jest taki przegląd, znajduje się na stronie, która pokazuje skąd pochodzą informacje w dossier.
Czy chcesz najpierw sprawdzić, czy ten temat jest istotny dla Twojej organizacji i co dokładnie zawiera dossier? Wykonaj bezpłatny szybki scan lub przejrzyj tematy; oba są dostępne bez konta i dają natychmiastową konkretną odpowiedź.